Google · Exploração confirmada

CISA confirma exploração ativa do Node2Shell e vetor atinge o WordPress

· 4 min de leitura

Falha crítica de escrita fora dos limites no decodificador Brotli do Google (CVE-2026-111497, CVSS 9.2), apelidada Node2Shell, permite execução remota de código sem autenticação em Node.js, Bun, pacotes Python, Envoy, Istio, PHP para Windows, produtos Microsoft e firewalls Palo Alto que inspecionam Brotli. A CISA confirmou exploração ativa, listou a falha no KEV com prazo federal em 10 de novembro, e um pesquisador adicionou vetor contra o WordPress via /xmlrpc.php, com exploit público. Atualize para as versões corrigidas (Node.js 22.23.4, 24.22.1 e 26.12.1; Brotli 1.2.1), reinicie serviços, reconstrua imagens de contêiner e monitore o /xmlrpc.php.

Por Atualizado Receba isso todo dia →← Voltar ao feed 21 fontes
WhatsApp LinkedIn X
CríticaFalhaExploração confirmadaCorreção parcial
Neste artigo
  1. O que aconteceu
  2. Por que importa
  3. O que fazer
  4. Para o time técnico
  5. Linha do tempo
  6. Fontes

O que aconteceu

Uma falha crítica no componente de compressão Brotli, mantido pelo Google, permite a invasores executar comandos em servidores que descompactam dados maliciosos, sem precisar de senha. A falha está embutida em produtos muito usados: Node.js, Bun, pacotes Python.NET, Visual Studio, PowerShell, PHP para Windows, Envoy, Istio e firewalls Palo Alto. A CISA confirmou exploração ativa e fixou prazo federal até 10 de novembro para a correção.

Incidentes como este, todo dia de manhã

Os que pedem ação primeiro, em 3 minutos de leitura.

Grátis · 1 e-mail por dia, de manhã · sem spam, cancele em 1 clique

Por que importa

Qualquer aplicação que descompacte conteúdo de fonte não confiável (requisições, respostas, arquivos) pode ser tomada por atacantes. Há prova de conceito pública, tentativas registradas em honeypots e um pesquisador divulgou vetor contra sites WordPress pelo endereço /xmlrpc.php. Processos já em execução continuam vulneráveis após a atualização até serem reiniciados, e imagens de contêiner precisam ser reconstruídas.

O que fazer

Atualize: Node.js 22.23.4, 24.22.1 ou 26.12.1; Brotli 1.2.1; Bun 1.4.4; pacotes Python Brotli 1.2.1 e brotlicffi 1.2.1.0; atualizações Microsoft de 25 de outubro; builds do PHP para Windows reconstruídos. Reinicie serviços, reconstrua imagens de contêiner, desative a inspeção de Brotli nos firewalls Palo Alto até aplicar a correção e monitore acessos ao /xmlrpc.php.

Para o time técnico

CVE
CVE-2026-111497, CVE-2026-105482, CVE-2026-105483, CVE-2026-106069, CVE-2026-105481, CVE-2026-106072, CVE-2026-106074, CVE-2026-106070, CVE-2026-106071, CVE-2026-106073
Afetados
Google (Brotli) Decodificador Brotli (libbrotli) embutido em Node.js, Bun.NET, Envoy, Istio e Python (brotli, brotlicffi), nos pacotes oficiais do PHP para Windows (8.2 a 8.5), em firewalls Palo Alto que descriptogra · Google Brotli 1.0.3 a 1.2.0 (análise cita 1.0.3 a 1.0.9, 1.1.0 e 1.2.0), todas as plataformas; Node.js 22.x antes de 22.23.4, 24.x antes de 24.22.1, 26.x antes de 26.12.1; linhas 20.x, 23.x, 25.x e anteriores afetadas e sem correção (fim de vida); Bun antes de 1.4.4; PyPI Brotli até 1.2.0 e brotlicffi até 1.2.0.2; Envoy v1.39.2, v1.38.5, v1.37.7 e v1.36.11 com descompressor Brotli configurado (GHSA-3wvj-j6qm-62mr); Istio antes de 1.29.9/1.30.6/1.31.2 que descomprime Brotli; pacotes oficiais do PHP para Windows 8.2 a 8.5, alcançáveis pela extensão cURL com descompressão automática (desativada por padrão); Microsoft .NET 8.0, 9.0, 10.0 e 11.0 RC, Visual Studio 2019 16.11, 2022 17.14 e 2026 18.11, PowerShell 7.4, 7.5 e 7.6 antes das atualizações de 25 de outubro de 2026; firewalls Palo Alto que descriptografam TLS e inspecionam Brotli. Rastreador público lista ainda sem correção DuckDB, Apache Arrow, 7-Zip-zstd, p7zip e EDK II (lista incompleta, segundo os mantenedores).
Exploração
CISA confirma exploração ativa, listou a CVE no KEV com prazo federal em 10 de novembro e reporta tentativas de RCE; dois operadores de honeypots registraram tentativas, uma com exploit defeituoso; lato relata varreduras e exploração ativa contra instalações x86-64 de fábrica do Node.js. Imperva demonstrou execução de código na imagem oficial Node.js 24.22.0 Linux arm64, com dados maliciosos em resposta de servidor e em corpo processado por Express 5/body-parser 2; o exploit não foi tornado público e a prova não teve sucesso em toda tentativa. SecurityWeek relata PoC pública no GitHub que executa código só contra build enfraquecida e pesquisadores que argumentavam uso apenas para negação de serviço. Pesquisador relata ter obtido shell em trabalho para cliente; pesquisador adicionou vetor WordPress via /xmlrpc.php com exploit público; discussão no r/netsec combina pingback do WordPress com a RCE; consultoria relata versões vulneráveis ainda em produção em testes de intrusão.
Correção
Brotli 1.0.10, 1.1.1 e 1.2.1 (commit google/brotli@0ed4268, novo erro BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH, −17); Node.js 22.23.4, 24.22.1 e 26.12.1; Bun 1.4.4; PyPI Brotli 1.2.1 e brotlicffi 1.2.1.0 (correção silenciosa, sem menção nas notas de release); Envoy 1.40.0/1.39.3/1.38.6/1.37.8 (1.36.12 também, sem suporte); Istio 1.29.9/1.30.6/1.31.2; Microsoft 25 de outubro de 2026: .NET 8.0.33/9.0.22/10.0.14 e 11 RC3, Visual Studio 2019 16.11.61, 2022 17.14.43, 2026 18.11.2, PowerShell 7.4.22/7.5.13/7.6.9; PHP publicou builds Windows reconstruídos com Brotli 1.2.1; Palo Alto previu correção para 30 de outubro e, até lá, recomenda desativar a inspeção de Brotli. Aplicar exige reiniciar serviços e reconstruir imagens de contêiner sobre base corrigida, pois processos em execução mantêm o código vulnerável.
Vetor
Escrita fora dos limites (CWE-787) no decodificador Brotli em C (c/dec/decode.c) por valor de retorno não verificado (CWE-252): DecodeBlockTypeAndLength retorna booleano ambíguo, o caminho rápido de decodificação descarta o retorno e uma troca de bloco inválida é tratada como necessidade de mais entrada, levando a escrita além do buffer. Exploração sem autenticação exige que a aplicação descompacte dados Brotli controlados pelo atacante: corpo de requisições (Express 5/body-parser 2), respostas obtidas via fetch, node:zlib ou arquivos comprimidos.
Mais detalhes
Node.js credita a descoberta a OpenAI Codex Security (Khai Tran e Sylvie Mayer), achada em trabalho de red-teaming; OpenAI diz que a causa raiz foi corrigida no código-fonte do Brotli em fevereiro, sem saber que gerava vulnerabilidade de segurança e sem release posterior. CVE atribuída pelo Google, produto afetado github.com/google/brotli; OpenSourceMalware atribui a divulgação de 21 de outubro de 2026 a Imperva. Nomes alternativos: HTTP2Shell e Broccoli2Shell. Microsoft classifica como elevação de privilégio, CVSS v3.1 8.1, crítico para .NET e Visual Studio e importante para PowerShell, com avaliação 'Exploitation More Likely'. Pesquisadores lançaram site e ferramenta open-source para testar se um cliente HTTP é vulnerável. No mesmo release de segurança do Node.js (21 de outubro de 2026), a CVE-2026-105482 tem PoC pública: dns.resolve* e dns.reverse truncam silenciosamente nomes com byte NUL, correção incompleta da CVE-2026-48930.

Indicadores (IoCs)

  • /xmlrpc.php

Linha do tempo

  1. Discussão no r/netsec aborda a combinação do pingback do WordPress com a RCE no decodificador Brotli.

  2. PoC pública divulgada para o CVE-2026-111497 no decodificador Brotli, com versões afetadas listadas de 1.0.3 a 1.2.0.

  3. Alerta no X reitera exploração ativa do CVE-2026-111497 em software popular que embute a biblioteca brotli.

Quer as próximas atualizações no seu e-mail? Inscreva-se na edição diária →

Ver todas as 24 atualizações

  1. Pesquisador adiciona vetor de ataque ao WordPress via /xmlrpc.php e aponta exploit público para verificar a vulnerabilidade.

  2. Consultoria de segurança relata que segue encontrando versões vulneráveis do decodificador Brotli em produção durante testes de intrusão em clientes.

  3. Pesquisador reafirma que a falha do decodificador Brotli é plenamente explorável e pede aplicação imediata das correções disponíveis.

  4. Pesquisadores publicam demonstração do exploit Node2Shell que executa código remoto em build do Node.js por meio de dados Brotli malformados.

  5. PoC pública divulgada para a CVE-2026-105482 no Node.js: as funções dns.resolve*() e dns.reverse() truncam silenciosamente nomes de domínio com byte NUL, correção incompleta da CVE-2026-48930.

  6. CISA confirma que hackers exploram ativamente a CVE-2026-111497, a falha Brotli também conhecida como Node2Shell.

  7. CISA adiciona a falha do decodificador Brotli ao catálogo KEV e dois operadores de honeypots registram tentativas de exploração, uma delas com exploit defeituoso.

  8. Lote acrescenta que a exploração ativa passou a atingir instalações x86-64 de fábrica do Node.js, com varreduras em curso, e lista as versões corrigidas 22.23.4, 24.22.1 e 26.12.1.

  9. CISA listou a falha na KEV e reporta tentativas de exploração de RCE; o prazo federal é 10 de novembro.

  10. Pesquisadores lançam site e ferramenta de código aberto para verificar se um cliente HTTP é vulnerável à falha CVE-2026-111497, apelidada de Node2Shell/HTTP2Shell.

  11. Pesquisador relata exploração real da falha do decodificador Brotli, afirmando ter obtido um shell durante um trabalho para cliente.

  12. Palo Alto alerta que firewalls que descriptografam TLS e inspecionam tráfego Brotli também são afetados; correção prevista para 30 de outubro e, até lá, recomenda desativar a inspeção de Brotli.

  13. Análise lista as versões afetadas do decodificador Brotli (1.0.3 a 1.0.9, 1.1.0 e 1.2.0), atribui CVSS 9.2 e mostra a falha circulando sob os nomes HTTP2Shell, Node2Shell e Broccoli2Shell.

  14. PHP publica builds do Windows reconstruídos com Brotli 1.2.1; o decodificador vulnerável era alcançável pela extensão cURL com descompressão automática habilitada, recurso desativado por padrão.

  15. PHP recompila os pacotes oficiais do Windows para PHP 8.2 a 8.5; a falha no Brotli incluído é alcançável pela extensão cURL ao descomprimir respostas HTTP automaticamente, opção desativada por padrão.

  16. Novo relato detalha que a falha CVE-2026-111497 também afeta Bun, pacotes Python Brotli e brotlicffi.NET e proxies Envoy.

  17. Post lista as versões corrigidas: Node.js 22.23.4, 24.22.1 e 26.12.1, e Bun 1.4.4.

  18. Cloudflare publica duas regras de emergência no Managed Ruleset para detectar exploração do CVE-2026-111497, mirando corpos de requisição codificados com Brotli e o endpoint de otimização de imagens do Next.js.

  19. Falha passa a ser chamada de HTTP2Shell e provocou patches de emergência em projetos afetados.

  20. Microsoft publica atualização emergencial para o CVE-2026-111497, o bug do Brotli reportado à Node.js pela Codex Security da OpenAI; duas das correções de 13 de outubro ficaram aquém.

  21. Google e ecossistemas publicam correções para o decodificador Brotli em múltiplos produtos.

Fontes 21 fontes

Ver todas as 30 fontes

Receba o próximo amanhã de manhã

Um e-mail por dia com o que mudou, o que corrigir primeiro e como. Depois da inscrição você entra no feed completo.

Grátis · 1 e-mail por dia, de manhã · sem spam, cancele em 1 clique

Indique para o seu time

Quem cuida de segurança com você também devia receber.

LinkedIn X

Seu colega recebe um pedido de confirmação. Nada é enviado sem ele confirmar.

Ver todas as notícias

Leia também

Antes de sair: receba isso todo dia

A edição diária do HIFY Radar chega de manhã com os incidentes que pedem ação. Grátis.

Grátis · 1 e-mail por dia, de manhã · sem spam, cancele em 1 clique